Auftragsverarbeitungsvertrag KYTH.Kladde

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden als Verantwortlichem und der KYTH. Systems UG (haftungsbeschränkt), Prof.-Mederer-Straße 4, 92348 Berg, Amtsgericht Nürnberg HRB 46313, vertreten durch die Geschäftsführer Stefan Grasse und Stephan Wittmann (im Folgenden KYTH), als Auftragsverarbeiter.

Dieser Vertrag ist Bestandteil des Nutzungsvertrags über KYTH.Kladde (im Folgenden Kladde) und kommt mit derselben Zustimmung in Kladde zustande, in einem elektronischen Format (Art. 28 Abs. 9 DSGVO). Er gilt je Mandant. Begriffe wie Mandant, Konto, Mitgliedschaft und Inhaber haben die Bedeutung aus dem Nutzungsvertrag. Was beim Einrichten eines Mandanten vor der ersten Zustimmung entsteht (etwa der Mandant, Mitgliedschaften und Einladungen, Einträge im Protokoll, Mails im Postausgang und Sitzungen für die Zustimmung), verarbeitet KYTH bis zur Zustimmung als Verantwortlicher, um den Vertrag anzubahnen; mit der Zustimmung gilt für diese Daten dieser Vertrag. Ansprechpartner bei KYTH für diesen Vertrag ist datenschutz@kyth.systems.

1. Gegenstand und Dauer

Gegenstand. KYTH betreibt Kladde für den Kunden. Dazu gehören: Speichern und Verarbeiten der Daten, die in seinem Mandanten erfasst werden, und der Daten, die Kladde bei der Nutzung des Mandanten festhält; das Anzeigen dieser Daten für die Benutzer des Mandanten nach ihrer Rolle; das Anlegen der Systemmails des Mandanten (Abschnitt 2, dort auch zum Versand); das Protokoll des Mandanten (Abschnitt 4); der Support-Zugang (Abschnitt 3); die Bereitstellung einer Kopie der Daten und ihre Löschung, beides von Hand (Abschnitte 9 und 11); die tägliche Sicherung der Daten, die Probe ihrer Wiederherstellung und ihre Wiederherstellung nach einer Störung (Abschnitt 8).

Art der Verarbeitung. Erheben, Erfassen, Ordnen, Speichern, Anpassen (Logos werden für die Anzeige neu geschrieben), Auslesen, Abfragen, Verwenden zur Anzeige in Kladde, Offenlegen gegenüber den Benutzern des Mandanten, Einschränken (Sperren von Mitgliedschaften), Sichern und Wiederherstellen (Abschnitt 8) und Löschen (Abschnitt 11).

Zweck. Die Bereitstellung von Kladde nach dem Nutzungsvertrag. Zu eigenen Zwecken verarbeitet KYTH diese Daten nur, soweit die Abschnitte 4, 5, 8, 11 und 13 es nennen; nach Abschnitt 13 sind das die Einladungsadressen der Inhaber für Mitteilungen nach diesem Vertrag und dem Nutzungsvertrag.

Kategorien betroffener Personen.

• Personen mit einer Mitgliedschaft im Mandanten, auch eingeladene und gesperrte (Inhaber, Mitarbeiter, Nur-Lesen);
• Personen, deren Angaben im Firmenprofil oder in Rechnungsköpfen stehen, etwa Einzelunternehmer, Geschäftsführer, Kontaktpersonen und die Personen, auf die das angegebene Bankkonto lautet;
• sonstige Personen, die in Inhalten des Kunden genannt sind;
• die Geschäftsführer von KYTH als Betreiber, soweit ihre Kennung und ihre gekürzte Netzadresse im Protokoll des Mandanten stehen (Abschnitt 4) und ihre Support-Sitzungen beim Mandanten gespeichert sind (Abschnitt 3).

Arten der Daten.

• Mandant: Name (KYTH legt ihn beim Einrichten fest; in Kladde lässt er sich nicht ändern), Status, Zeitpunkte der Anlage und einer laufenden Sperre; Fassung und Zeitpunkt der jüngsten Zustimmung speichert Kladde an derselben Stelle, sie gehören zum Zustimmungsnachweis (Abschnitt 5);
• Mitgliedschaft: Name, Funktion, Einladungsadresse (verschlüsselt) und ihr Suchwert, Rolle, Status, Zeitpunkte von Anlage, Annahme und letzter Nutzung; Einladungslinks (nur als Hashwert, mit den Zeitpunkten von Anlage, Ablauf, Einlösung und Entwertung, bis 30 Tage nach ihrem Ende); Sitzungen (nur als Hashwert, mit Zeitpunkten);
• Support-Sitzungen von KYTH (nur als Hashwert, mit der Kennung des Betreibers und Zeitpunkten);
• Firmenprofil mit allen Fassungen: Firma, Rechtsform, Straße, Postleitzahl, Ort, Besteuerung, Beginn der Besteuerung, Steuernummer, Umsatzsteuer-Identifikationsnummer, Kennung als Kleinunternehmer, Art der Versteuerung, Registergericht, Registernummer, Vertretung; je Fassung Zeitpunkt und Kennung der Mitgliedschaft, die sie angelegt hat;
• Rechnungsköpfe (höchstens 20, auch archivierte) mit allen Fassungen: Bezeichnung, Absendername, Anschrift, E-Mail-Adresse, Telefon, Website, Kontoinhaber, IBAN (verschlüsselt), BIC, Bank, Akzentfarbe, Logo; Status (aktiv oder archiviert) und Vorgabe; je Fassung Zeitpunkt und Kennung der Mitgliedschaft, die sie angelegt hat;
• Logos (PNG oder JPEG, höchstens 512 KiB und 2000 Pixel) mit Medientyp, Maßen, Prüfsumme, Zeitpunkt und Kennung der Mitgliedschaft, die sie hochgeladen hat; Kladde bewahrt jedes hochgeladene Logo auf, auch eines, das kein Rechnungskopf verwendet oder mehr verwendet; die Logos der Rechnungsköpfe zeigt Kladde allen Benutzern des Mandanten in der Oberfläche, und jedes Logo des Mandanten liefert Kladde jedem seiner Benutzer auf Abruf aus;
• Protokoll des Mandanten (Abschnitt 4);
• Support-Freigaben mit Beginn, Ende, Widerruf und der Kennung der Mitgliedschaft, die sie erteilt hat;
• Postausgang mit den Einladungsmails und den Hinweisen an die Inhaber über Handlungen von KYTH am Mandanten und an Konten seiner Mitglieder (Abschnitt 2): Empfänger und Text mit Betreff verschlüsselt, bis Kladde sie leert, spätestens 7 Tage nach dem Anlegen; danach bis 90 Tage nach dem Anlegen eine Zeile mit Art, Zeitpunkten, Zahl der Versuche, Fehlerkennung und dem Hashwert des Links.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags; der Kunde gibt sie nicht in Kladde ein.

Dauer. Dieser Vertrag gilt, solange der Nutzungsvertrag läuft, und darüber hinaus, bis KYTH die Daten nach Abschnitt 11 gelöscht hat; für den Grundeintrag des Mandanten gilt danach Abschnitt 5.

2. Weitere Auftragsverarbeiter

Genehmigung. Der Kunde genehmigt mit diesem Vertrag die folgenden weiteren Auftragsverarbeiter (Art. 28 Abs. 2 Satz 1 DSGVO):

Systemmails. Kladde legt für den Mandanten zwei Arten von Mails im Postausgang an:

• die Einladung an eine Person, die ein Inhaber oder KYTH einlädt, mit ihrem Namen aus der Mitgliedschaft, dem Namen des Mandanten, dem Link und der Adresse der Datenschutzerklärung;
• den Hinweis an die Inhaber, wenn KYTH als Betreiber einen Zugang angelegt, den Mandanten gesperrt oder entsperrt oder das Konto einer Person mit aktiver Mitgliedschaft im Mandanten gesperrt oder entsperrt hat. Der Hinweis nennt den Namen des Empfängers, den Namen des Mandanten und die Handlung, beim Konto auch den Namen der Person aus ihrer Mitgliedschaft in diesem Mandanten, aber keine Gründe.

Die Mail mit dem Link zum Zurücksetzen und den Hinweis nach einer Passwortänderung adressiert Kladde an die Adresse des Kontos. Diese beiden Arten gehören zum Konto; für sie ist KYTH selbst verantwortlich (Abschnitt 5).

Jeden Hinweis an die Inhaber legt Kladde für jeden Inhaber an, der seine Einladung angenommen hat, auch für einen gesperrten, adressiert an dessen Einladungsadresse.

Bedingungen. KYTH verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, insbesondere auf hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Kommt einer von ihnen seinen Pflichten nicht nach, haftet KYTH gegenüber dem Kunden dafür wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).

Änderungen. Für spätere Änderungen erteilt der Kunde eine allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO): KYTH kündigt einen neuen oder ersetzten weiteren Auftragsverarbeiter mindestens 30 Tage vor dem Wechsel von Hand per Mail an die Inhaber an (Abschnitt 13), mit Name, Sitz, Ort der Verarbeitung, Zweck und betroffenen Daten und mit dem letzten Tag, an dem ein Verlangen nach Kopie und Löschung noch vor dem Wechseltermin erledigt wird. Der Kunde kann dem Wechsel bis zu seinem Termin in Textform widersprechen und den Nutzungsvertrag dann ohne Einhaltung einer Frist zum Wechseltermin kündigen. Muss KYTH einen weiteren Auftragsverarbeiter wegen eines Ausfalls oder einer Gefahr für die Sicherheit früher ersetzen, kündigt KYTH den Wechsel so früh wie möglich an, in jedem Fall vor dem Wechsel; der Kunde kann dann noch binnen 30 Tagen nach der Ankündigung widersprechen und den Nutzungsvertrag ohne Einhaltung einer Frist kündigen.

Widerspricht der Kunde, setzt KYTH den Wechsel für seine Daten nicht aus, weil alle Mandanten dieselbe Infrastruktur nutzen. Auf sein Verlangen in Textform stellt KYTH ihm eine Kopie seiner Daten bereit und löscht sie danach von Hand (Abschnitt 11): Verlangt er das spätestens zehn Arbeitstage vor dem Wechseltermin, erledigt KYTH beides noch vor dem Wechseltermin; verlangt er es später, stellt KYTH die Kopie binnen fünf Arbeitstagen bereit und löscht die Daten binnen fünf Arbeitstagen nach der Übergabe der Kopie. Übergangs- und Abrufzeitraum entfallen dann. Ohne dieses Verlangen verarbeitet der neue Auftragsverarbeiter die Daten des Kunden bis zu ihrer Löschung nach Abschnitt 11. Der Wechsel wirkt zum angekündigten Termin aufgrund der allgemeinen Genehmigung; die geänderte Liste und die Angaben zum Ort der Verarbeitung in diesem Abschnitt und in Abschnitt 8 trägt KYTH nach Abschnitt 13 des Nutzungsvertrags ohne Vorlage in diesen Vertrag ein, ebenso in den Nutzungsvertrag (Abschnitt 10). Kein Wechsel ist der Umzug auf einen anderen Server desselben Unternehmens am selben Ort der Verarbeitung.

Keine weiteren Auftragsverarbeiter sind:

• Cloudflare: Dort liegen die Nameserver von kyth.systems. Cloudflare beantwortet Namensabfragen nach kladde.kyth.systems, die in der Regel der Namensdienst des Internetanbieters stellt. Der Name zeigt auf eine Adresse außerhalb von Cloudflare; Inhalte der Verbindungen zu Kladde erreichen Cloudflare deshalb nicht.
• GitHub: Dort liegt der Quelltext von Kladde, ohne Daten des Kunden.
• GlitchTip: die Fehlererfassung, die KYTH auf demselben Server wie Kladde selbst betreibt (Abschnitt 8).
• Telegram: Darüber erhalten die Geschäftsführer von KYTH Hinweise auf Störungen des Betriebs und der Sicherung. Die Hinweise nennen Zeitpunkte, Pfade, Datei- und Containernamen, aber keine Daten des Kunden.

Ort der Verarbeitung. Kladde selbst öffnet außer zur Datenbank, zum Mailserver der Systemmails und zur eigenen Fehlererfassung von KYTH keine Verbindung nach außen; die Namen dieser Server fragt es beim Namensdienst des Servers ab, ohne Daten des Kunden. In ein Drittland oder an eine internationale Organisation übermittelt KYTH Daten des Kunden nur auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Server, Datenbank und Sicherungen von Kladde stehen in Rechenzentren in Berlin; die INWX GmbH verarbeitet laut Vertrag in der EU oder im EWR.

3. Support-Zugang

In Kladde sieht KYTH Firmenprofil, Rechnungsköpfe, Logos und Protokoll des Mandanten nur über die Support-Ansicht, und die nur nach Freigabe:

1. Ein Inhaber gibt den Support-Zugang in den Einstellungen frei, für 1, 3 oder 7 Tage. Er kann die Freigabe widerrufen, solange er im Mandanten arbeiten kann; der Widerruf wirkt sofort, weil Kladde die Freigabe bei jeder Anfrage prüft. Während einer Sperre des Mandanten oder einer ausstehenden Zustimmung lässt sich die Freigabe nicht widerrufen; die Support-Ansicht zeigt in dieser Zeit aber weder Firmenprofil, Rechnungsköpfe und Logos noch Benutzer und Protokoll. Eine neue Freigabe ersetzt die laufende. Die Freigabe ist die dokumentierte Weisung des Kunden für den Support. Kladde bewahrt jede Freigabe mit Beginn, Ende, Widerruf und der Mitgliedschaft auf, die sie erteilt hat.
2. Solange sie gilt, kann KYTH eine Support-Ansicht öffnen. Sie gilt höchstens 60 Minuten und nie über das Ende der Freigabe hinaus und ist nur lesend: Außer der Protokollzeile nach Nummer 4 nimmt die Datenbank in ihr keine Änderung an. Solange der Kunde einer geltenden Fassung nicht zugestimmt hat, lässt sich auch die Support-Ansicht nicht nutzen.
3. KYTH sieht den Mandanten dabei, wie ihn ein Inhaber sieht, also auch die Benutzerliste mit den E-Mail-Adressen und das Protokoll, aber ohne die Konten der Personen und ohne andere Mandanten.
4. Jede Anfrage an die Schnittstelle von Kladde in der Support-Ansicht schreibt eine Zeile in das Protokoll des Mandanten: Betreiber, Zeitpunkt, aufgerufene Funktion (als Vorlage des Pfads, ohne Kennungen) und gekürzte Netzadresse. Inhalte stehen nicht darin. Das Öffnen der Ansicht steht ebenfalls im Protokoll, ihr Ende nur, wenn KYTH sie ausdrücklich beendet. Endet sie anders (nach ihren höchstens 60 Minuten, durch Ablauf oder Widerruf der Freigabe, Abmeldung des Betreibers, Öffnen einer anderen Support-Ansicht, Sperre des Mandanten, Sperre, neues Passwort oder Zurücksetzen der zweiten Stufe des Betreiberkontos), entsteht dafür keine eigene Zeile.

Im Betreiberbereich kann KYTH diese Inhalte ohne Freigabe nicht lesen: Die Rolle des Betreiberbereichs hat in der Datenbank kein Recht auf Firmenprofil, Rechnungsköpfe, Logos und Zustimmungsnachweise und darf das Protokoll des Mandanten nur ergänzen. Außerhalb von Kladde greift KYTH auf diese Inhalte nur durch die Geschäftsführer zu und nur, soweit es dafür nötig ist: für eine Kopie, eine Berichtigung, eine Einschränkung oder eine Löschung auf Weisung (Abschnitte 2, 9 und 11), für die Löschung nach den Fristen in Abschnitt 4, für die Prüfung eines Hinweises auf rechtswidrige Inhalte und deren Entfernung (Nutzungsvertrag, Abschnitt 7), für die Probe der Wiederherstellung einer Sicherung (Abschnitt 8), für einen Wechsel des Schlüssels der feldweisen Verschlüsselung (Abschnitt 8), für die Behebung einer Störung und soweit KYTH gesetzlich dazu verpflichtet ist (Abschnitt 6). In der Datenbank von Kladde verwendet KYTH dafür die Rolle, der die Tabellen gehören; beim Wiederanlauf aus einer Sicherung spielt KYTH die Sicherung mit dem Verwaltungskonto der Datenbankinstanz ein (Abschnitt 8). Davon getrennt sichert ein Lauf auf dem Server die Datenbank täglich selbsttätig (Abschnitt 8). Was der Betreiber ohne Freigabe sieht und tun darf, regelt Abschnitt 4 des Nutzungsvertrags. Im Betreiberbereich sieht KYTH:

• die Übersicht je Mandant: Name, Status, die Zahl aller Mitgliedschaften, gleich in welchem Status, deren jüngste Nutzung, Fassung und Zeitpunkt der Zustimmung und das Ende einer laufenden Support-Freigabe;
• die Liste der Mitgliedschaften eines Mandanten: Name, Funktion, E-Mail-Adresse, Rolle, Status, letzte Nutzung, offene Einladung, Kennung und Status des Kontos; dieses Ansehen hält Kladde in keinem Protokoll fest;
• ein Konto mit seinen Mitgliedschaften, nur mit einem Anlass (Abschnitt 5).

KYTH als Betreiber kann außerdem einen Mandanten anlegen und dabei die erste Person als Inhaber einladen, einen Mandanten sperren und entsperren, eine Einladung neu ausstellen (Kladde entwertet dabei die offenen Links und legt einen neuen Link und eine neue Einladungsmail an), das Zurücksetzen eines Passworts auslösen (Kladde legt die Mail an die Adresse des Kontos an), einen Zugang anlegen, ein Konto sperren und entsperren und die Support-Ansicht öffnen und beenden. Einen Zugang legt Kladde nur an, wenn der Mandant aktiv ist, das Konto zur Adresse nicht gesperrt ist, der Mandant keinen Inhaber mit aktiver Mitgliedschaft und aktivem Konto hat und die Person dort noch nicht Mitglied ist; die Rolle ist immer Inhaber. KYTH legt einen Zugang nur für eine Person an, die der Kunde benennt, nachdem KYTH geprüft hat, dass das Verlangen von jemandem kommt, der den Kunden vertreten darf. Diese Handlungen dienen der Bereitstellung von Kladde und sind mit dem Nutzungsvertrag angewiesen.

Jede dieser Handlungen steht im Protokoll von KYTH (Abschnitt 4), das Ansehen der Übersicht und der Mitgliedschaften nicht. Betrifft eine Handlung den Mandanten, steht sie auch in dessen Protokoll; betrifft sie ein Konto, steht sie in jedem Mandanten, in dem das Konto eine aktive Mitgliedschaft hat (Abschnitt 5). Das Ansehen eines Kontos steht nur im Protokoll von KYTH. Legt KYTH einen Zugang an oder sperrt oder entsperrt KYTH den Mandanten oder ein Konto, legt Kladde den Hinweis an die Inhaber nach Abschnitt 2 an.

4. Protokoll

Inhalt. Kladde führt für jeden Mandanten ein Protokoll, das sich nur ergänzen und nicht ändern lässt. Jede Zeile nennt den Zeitpunkt, wer gehandelt hat (eine Person über die Kennung ihrer Mitgliedschaft oder KYTH als Betreiber über die Kennung des Betreiberkontos), die Klasse, die Art der Handlung, soweit vorhanden ihr Ziel und bei geänderten Angaben alten und neuen Wert: bei Feldern von Firmenprofil und Rechnungskopf; bei Rolle und Status einer Mitgliedschaft, wenn ein Inhaber sie einlädt, sperrt, entsperrt oder ihre Rolle ändert; bei einem Logo nur Medientyp, Maße und Prüfsumme. Das Annehmen einer Einladung, einen Zugang, den KYTH anlegt, und das Archivieren oder Wiederherstellen eines Rechnungskopfs hält es nur mit der Art der Handlung fest. Passwörter, Links, Codes und andere Geheimnisse stehen nie darin, eine IBAN nur als „…“ mit ihren letzten vier Stellen; die übrigen alten und neuen Werte von Firmenprofil und Rechnungskopf stehen im Klartext darin. Zeilen zu Handlungen einer Person tragen die gekürzte Netzadresse (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 64 Bit), Zeilen zu Handlungen von KYTH als Betreiber im Mandanten die ebenso gekürzte Netzadresse des Betreibers. Keine Netzadresse tragen Ereignisse am Konto einer Person (Abschnitt 5) und die Anmeldung beim Wechsel aus einem anderen Mandanten. Fehlgeschlagene Anmeldungen stehen nicht im Protokoll; sie zählt das Konto.

Jede Zeile gehört zu einer von zwei Klassen: sicherheit für Anmeldung, Abmeldung, beendete Sitzungen und die Nutzung der Support-Ansicht (Öffnen, Anfragen, Beenden), aenderung für alle übrigen, auch für Freigabe und Widerruf des Support-Zugangs.

Einsicht. Die Inhaber des Mandanten sehen das Protokoll in den Einstellungen. Die Seite zeigt je Zeile den Zeitpunkt, die handelnde Person mit dem Namen, den Kladde über ihre Mitgliedschaft im eigenen Mandanten auflöst (findet Kladde keinen, „Eine Person im Mandanten“), bei Handlungen von KYTH „Der Betreiber“, und die Art der Handlung; die Schnittstelle von Kladde liefert den Inhabern alle Felder der Zeile. In Kladde sieht KYTH das Protokoll nur in der Support-Ansicht (Abschnitt 3); außerhalb von Kladde greift KYTH darauf nur in den Fällen nach Abschnitt 3 zu.

Zweck. Das Protokoll dient der Sicherheit und der Nachvollziehbarkeit von Änderungen. KYTH wertet es nicht aus, um Leistung oder Verhalten von Personen zu kontrollieren. Ob und wie der Kunde es gegenüber seinen Beschäftigten verwendet, verantwortet er selbst, einschließlich der Rechte einer Arbeitnehmervertretung.

Aufbewahrung. Kladde selbst löscht keine Zeile des Protokolls. KYTH bewahrt Zeilen der Klasse sicherheit 12 Monate auf und löscht sie danach von Hand in einem monatlichen Durchgang, also spätestens 13 Monate nach dem Eintrag. Zeilen der Klasse aenderung bewahrt KYTH auf, bis KYTH die übrigen Daten des Mandanten nach Abschnitt 11 löscht, und löscht sie mit ihnen von Hand.

Einträge des Betreibers. Handlungen von KYTH als Betreiber stehen zusätzlich im eigenen Protokoll von KYTH. Kladde hält dort 17 Arten von Handlungen fest: Anlegen, Sperren und Entsperren eines Mandanten, Anlegen eines Zugangs, Neuausstellen einer Einladung, Öffnen und Beenden der Support-Ansicht, Sperren und Entsperren eines Kontos, Auslösen des Zurücksetzens, Ansehen eines Kontos, die Anmeldung eines Betreibers nach der zweiten Stufe und, über die Kommandozeile auf dem Server, Anlegen, neues Passwort, Zurücksetzen der zweiten Stufe, Sperren und Entsperren eines Betreiberkontos. Jede Zeile nennt Zeitpunkt, Art der Handlung und die Kennungen von Mandant, Konto, Mitgliedschaft oder Betreiberkonto, beim Ansehen eines Kontos auch den Anlass. Zeilen aus dem Betreiberbereich nennen zudem den handelnden Betreiber und seine gekürzte Netzadresse; Zeilen aus der Kommandozeile tragen weder Person noch Netzadresse. Inhalte des Mandanten stehen nicht darin. Nicht festgehalten werden die Abmeldung eines Betreibers, gescheiterte Anmeldeversuche, eine Probemeldung an die Fehlererfassung ohne Daten des Kunden und das Ansehen von Übersicht, Mitgliedschaften und eigenem Protokoll; die einzelnen Anfragen in der Support-Ansicht stehen nur im Protokoll des Mandanten. Dieses Protokoll ist ein Nachweis von KYTH über das eigene Handeln (Art. 5 Abs. 2, Art. 28 Abs. 3 lit. h und Art. 32 DSGVO) und nicht Gegenstand dieses Vertrags (Abschnitt 5). Es bleibt bestehen, wenn KYTH die Daten des Mandanten löscht; KYTH bewahrt die Einträge bis zum Ende des dritten Kalenderjahres nach dem Eintrag auf und löscht sie im Januar des folgenden Jahres von Hand.

5. Konto und Mandanten

Eine Person kann mit einem Konto mehreren Mandanten angehören, auch Mandanten anderer Kunden. Kein einzelner Kunde bestimmt deshalb über das Konto. Daraus folgt diese Verteilung:

Lädt der Kunde eine Person ein, verwendet Kladde die eingegebene E-Mail-Adresse zugleich für das Konto dieser Person, für das KYTH selbst verantwortlich ist. Sieht KYTH ein Konto an, liest es dabei als Verantwortlicher auch dessen Mitgliedschaften mit Mandant, Rolle und Status. Wie KYTH die Daten der Konten verarbeitet, beschreibt die Datenschutzerklärung. Eine gemeinsame Verantwortung nach Art. 26 DSGVO besteht nicht.

Für den Kunden heißt das:

• Er sieht in seinem Mandanten die Mitgliedschaften, nie die Konten. Er erfährt nicht, ob eine Adresse schon ein Konto hat und welchen anderen Mandanten es angehört; vom Status des Kontos erfährt er nur über die Ereignisse nach dem nächsten Punkt.
• Ereignisse, die ein Konto als Ganzes betreffen (Passwort geändert oder zurückgesetzt und Sitzungen beendet durch die Person; Konto gesperrt oder entsperrt und Zurücksetzen ausgelöst durch KYTH), trägt Kladde in das Protokoll jedes Mandanten ein, in dem das Konto eine aktive Mitgliedschaft hat, ohne Netzadresse und ohne Angaben zu anderen Mandanten. Mit dem Eintrag werden sie Daten des Mandanten.
• Sperrt KYTH ein Konto, wirkt das in allen Mandanten der Person (Nutzungsvertrag, Abschnitt 3): Kladde beendet ihre Sitzungen in allen Mandanten und entwertet offene Links zum Zurücksetzen. Für die Inhaber jedes Mandanten, in dem die Person eine aktive Mitgliedschaft hat, legt Kladde den Hinweis nach Abschnitt 2 an, adressiert an die Einladungsadresse jedes Inhabers und mit dem Namen der gesperrten Person aus ihrer Mitgliedschaft in diesem Mandanten; ebenso bei der Entsperrung. Wie der Eintrag im Protokoll gehört dieser Hinweis zu den Daten des Mandanten.
• Sieht KYTH ein Konto mit seinen Mitgliedschaften an, steht das mit Anlass im Protokoll von KYTH und nicht im Protokoll des Mandanten.

6. Weisungen

KYTH verarbeitet die Daten des Kunden nur auf seine dokumentierte Weisung. Weisungen sind:

1. dieser Vertrag und der Nutzungsvertrag;
2. jede Handlung, die der Kunde und seine Benutzer mit den Funktionen von Kladde auslösen;
3. die Freigabe des Support-Zugangs (Abschnitt 3);
4. Einzelweisungen in Textform an datenschutz@kyth.systems, von einem Inhaber mit aktiver Mitgliedschaft von seiner Einladungsadresse aus oder von einer Person, die den Kunden vertreten darf oder die der Kunde dafür benannt hat; KYTH prüft vor der Ausführung, dass die Weisung von einer solchen Person kommt.

Ist KYTH der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, teilt KYTH das dem Kunden unverzüglich mit (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Weisung aussetzen, bis der Kunde sie bestätigt oder ändert. Ist KYTH gesetzlich zu einer Verarbeitung verpflichtet, teilt KYTH dem Kunden das vorher mit, soweit das Gesetz es nicht verbietet.

7. Vertraulichkeit

KYTH lässt die Daten des Kunden nur von Personen verarbeiten, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugang zum Server von Kladde und zum Betreiberbereich gibt KYTH derzeit nur den beiden Geschäftsführern. Betreiberkonten lassen sich nur über die Kommandozeile auf dem Server anlegen, sperren, entsperren und zurücksetzen (neues Passwort, zweite Stufe), nicht im Browser; den zweiten Faktor richtet der Betreiber nach dem Anlegen oder nach dem Zurücksetzen der zweiten Stufe bei der ersten Anmeldung im Browser ein.

8. Technische und organisatorische Maßnahmen

KYTH trifft die folgenden Maßnahmen nach Art. 32 DSGVO. Sie sind eine Beschreibung von KYTH, kein Prüfbericht; eine Zertifizierung besteht nicht.

Vertraulichkeit

• Trennung der Mandanten in der Datenbank selbst: Jede Tabelle mit Mandantenbezug trägt erzwungenen Zeilenschutz. Ausgenommen sind der Postausgang, den die Anwendung ohne Mandantenbezug abarbeitet (Empfänger und Text feldweise verschlüsselt), und das Protokoll von KYTH, auf das nur der Betreiberbereich zugreift. Die Anwendung sieht die Zeilen des Mandanten, für den sie gerade arbeitet, dazu für die Auswahl des Mandanten die eigenen Mitgliedschaften der angemeldeten Person und die Mandanten, in denen sie eine aktive Mitgliedschaft hat. Konten sieht sie nur einzeln: das Konto der Person, die sich anmeldet oder angemeldet ist, ein neues Passwort anfordert oder einen Einladungs- oder Rücksetzlink einlöst, und beim Einladen nur die Kennung des Kontos zur eingegebenen Adresse.
• Drei Datenbankrollen mit getrennten Rechten: eine für die Anwendung, eine für den Betreiberbereich und eine, der die Tabellen gehören. Die Rolle des Betreiberbereichs hat keine Rechte auf Firmenprofil, Rechnungsköpfe, Logos und Zustimmungsnachweise und darf das Protokoll des Mandanten nur ergänzen, nicht lesen.
• Kladde lässt sich außerhalb der Entwicklung nur mit einer Adresse betreiben, die mit https beginnt, und setzt den Sicherheitskopf HSTS. Verbindungen zu Kladde laufen verschlüsselt über HTTPS; eine Anfrage über unverschlüsseltes HTTP leitet der vorgelagerte Proxy auf HTTPS um. Die Verschlüsselung endet an diesem Proxy auf demselben Server; von dort geht die Anfrage innerhalb des Servers an Kladde.
• Versand der Systemmails nur per SMTP mit TLS; Kladde prüft dabei Zertifikat und Namen des Mailservers und versendet ohne TLS nichts.
• Feldweise Verschlüsselung (AES-256-GCM) für genau sieben Spalten: die E-Mail-Adressen der Konten, der Mitgliedschaften und der Betreiberkonten, die Geheimnisse der zweiten Anmeldestufe, Empfänger und Text im Postausgang und die IBAN. Suchwerte, Hashwerte von Sitzungen und Links und die Schlüssel der Zähler bildet Kladde mit geheimem Schlüssel (HMAC). Die IBAN zeigt Kladde niemandem vollständig, nur „…“ und die letzten vier Stellen. Wechselt KYTH diesen Schlüssel, schreibt ein Lauf von Hand alle verschlüsselten Felder mit dem neuen Schlüssel neu; dabei enden alle Sitzungen, und offene Einladungs- und Rücksetzlinks werden ungültig.
• Passwörter nur als Prüfwert (PBKDF2-HMAC-SHA256, 600.000 Durchläufe, Salz), mindestens 12 Zeichen, Abgleich gegen eine Liste häufiger Passwörter.
• Sitzungen über Cookies mit dem Präfix __Host- und den Merkmalen Secure, HttpOnly und SameSite; Ende nach 7 Tagen ohne Nutzung, höchstens 30 Tage; Schutz gegen von fremden Seiten ausgelöste Anfragen durch einen eigenen Kopf und die Prüfung der Herkunft jeder ändernden Anfrage.
• Begrenzung der Versuche bei Anmeldung, Passwortänderung, Zurücksetzen, Einladungs- und Rücksetzlinks und zweiter Stufe, je nach Fall je eingegebener E-Mail-Adresse, je Netz oder je Betreiberkonto; Einladungen begrenzt Kladde je Mandant und Tag.
• Betreiberkonten nur mit zweitem Faktor (zeitbasierter Einmalcode; den QR-Code zum Einrichten erzeugt der Server selbst), Sitzung höchstens 12 Stunden, Ende nach 30 Minuten ohne Nutzung; anlegen, sperren, entsperren und zurücksetzen lassen sie sich nur über die Kommandozeile auf dem Server, den zweiten Faktor richtet der Betreiber nach dem Anlegen oder nach dem Zurücksetzen der zweiten Stufe bei der ersten Anmeldung im Browser ein.
• Die Datenbank liegt auf einem verschlüsselten Datenträger (LUKS2, AES-XTS mit 512-Bit-Schlüssel). Sein Schlüssel ist nicht auf dem Server gespeichert; ihn verwahren die beiden Geschäftsführer. Nach einem Neustart des Servers bleibt die Datenbank verschlossen, bis ein Geschäftsführer sie von Hand entsperrt; eine Prüfung auf dem Server meldet diesen Zustand. Der Datenträger schützt auch die Daten, die nicht feldweise verschlüsselt sind, gegen den Verlust der Platte oder einer Kopie davon, nicht gegen jemanden, der den laufenden Server übernimmt.
• Grenze, offen benannt: Der Schlüssel der feldweisen Verschlüsselung liegt in der Umgebung der Anwendung auf dem Server. Die feldweise Verschlüsselung schützt gegen den Verlust eines Auszugs oder einer Kopie der Datenbank, nicht gegen jemanden, der den laufenden Server übernimmt. Nicht feldweise verschlüsselt sind insbesondere Namen und Funktionen, der Name des Mandanten, Firmenprofil, Rechnungsköpfe außer der IBAN (also auch deren E-Mail-Adresse, Telefon, Kontoinhaber, BIC und Bank), Logos, die Protokolle mit ihren alten und neuen Werten, Zustimmungsnachweise und Support-Freigaben.
• Eine Kopie der Daten für den Kunden (Abschnitte 9 und 11; Nutzungsvertrag, Abschnitt 10) erstellt KYTH von Hand. Weil darin auch die IBAN lesbar steht, übergibt KYTH die Kopie nur verschlüsselt und teilt das Kennwort auf einem anderen Weg mit. Kopien, die dabei bei KYTH entstehen, auch ein Anhang in den Postfächern von KYTH, löscht KYTH von Hand, sobald der Kunde den Empfang bestätigt hat, spätestens 30 Tage nach der Übergabe; als Schriftwechsel bleibt nur die Mail ohne Anhang.

Integrität

• Firmenprofil, die Fassungen der Rechnungsköpfe, Logos, Zustimmungsnachweise und beide Protokolle lassen sich nur ergänzen; die Datenbank weist jede Änderung oder Löschung durch die Anwendung und den Betreiberbereich zurück. Ändern oder löschen kann diese Daten nur die Rolle, der die Tabellen gehören, und das Verwaltungskonto der Datenbankinstanz; für Berichtigungen und Löschungen von Hand verwendet KYTH die Rolle, der die Tabellen gehören. An einem Rechnungskopf selbst lassen sich nur Status (aktiv oder archiviert) und Vorgabe ändern; Name, Funktion und Einladungsadresse einer Mitgliedschaft lassen sich nicht ändern.
• Jede Änderung an Firmenprofil, Rechnungsköpfen, Logos, Mitgliedschaften, Einladungen und Support-Freigaben, die eine Person oder KYTH in Kladde vornimmt, steht im Protokoll, Änderungen an Feldern und die Änderungen von Rolle und Status nach Abschnitt 4 mit altem und neuem Wert. Berichtigungen und Löschungen, die KYTH von Hand vornimmt, stehen nicht darin. Jeden Zugriff von Hand auf Daten des Kunden außerhalb von Kladde (Abschnitt 3) zeichnet KYTH deshalb von Hand auf, mit Zeitpunkt, handelnder Person, Anlass und der Weisung oder Bestimmung dieses Vertrags, auf der er beruht, und legt diese Aufzeichnung dem Kunden auf Anfrage vor (Abschnitt 12), soweit das Gesetz es nicht verbietet. KYTH bewahrt sie bis zum Ende des dritten Kalenderjahres nach dem Zugriff auf und löscht sie im Januar darauf von Hand. Die Aufzeichnung ist wie das Protokoll von KYTH als Betreiber ein Nachweis von KYTH über das eigene Handeln (Abschnitt 4) und nennt Daten des Kunden nur, soweit der Nachweis sie braucht. Sie bleibt bestehen, wenn KYTH die Daten des Mandanten löscht.
• Strenge Sicherheitsköpfe für jede Seite (Content Security Policy ohne fremde Quellen), Prüfung aller Eingaben. Logos schreibt Kladde beim Speichern neu: Kladde dreht sie nach ihren Aufnahmedaten und entfernt eingebettete Metadaten.

Verfügbarkeit und Belastbarkeit

• Kladde meldet über zwei Statusadressen, ob die Anwendung läuft und ob die Datenbank mit dem erwarteten Stand erreichbar ist.
• Tägliche Sicherung der vollständigen Datenbank. Der Server verschlüsselt sie mit AES-256, bevor sie ihn verlässt, an einen öffentlichen Schlüssel, dessen privaten Teil nur die beiden Geschäftsführer außerhalb des Servers verwahren; eine Datei im Klartext entsteht dabei nicht, und entschlüsseln kann der Server sie nicht. Ablage in einem eigenen Objektspeicher der IONOS Cloud GmbH in Berlin: 90 Tage für niemanden löschbar (Object Lock im Modus COMPLIANCE); nach 95 Tagen löscht der Objektspeicher sie selbsttätig. Als gelungen gilt eine Sicherung erst, wenn der Objektspeicher sie in voller Größe und mit dieser Sperre bestätigt hat. Danach löscht der Server alle älteren Sicherungen und behält nur diese, ebenso verschlüsselt; scheitert die Ablage, bleibt die neue Sicherung bis zur nächsten gelungenen zusätzlich auf dem Server. Im Objektspeicher löscht das Sicherungsskript nichts. Die Sicherung umfasst auch die Daten, die nicht feldweise verschlüsselt sind. Eine Zweitkopie des Schlüssels der feldweisen Verschlüsselung verwahren die beiden Geschäftsführer außerhalb des Servers.
• Tägliche Prüfung auf dem Server, mit Hinweis an die Geschäftsführer bei jedem Befund: ob in den letzten 26 Stunden eine Sicherung gelungen ist, ob Sperre und Löschregel des Objektspeichers stimmen und keine Sicherung länger als 99 Tage dort liegt, ob der verschlüsselte Datenträger eingehängt ist, ob ein Neustart des Servers aussteht und ob der Platz knapp wird. Einmal in der Woche geht eine Testmeldung hinaus. Von außerhalb des Servers prüft KYTH regelmäßig, ob Kladde und seine Datenbank antworten, und erhält bei einem Ausfall einen Hinweis.
• Probe der Wiederherstellung mindestens halbjährlich, einmal im Jahr mit einer Sicherung, die älter als eine Woche ist, jeweils mit Protokoll. Ein Geschäftsführer entschlüsselt die Sicherung dafür auf seinem Rechner, ohne sie dort unverschlüsselt zu speichern, und spielt sie über eine verschlüsselte Verbindung in eine Wegwerf-Datenbank auf dem Server ein. Diese hat keine Verbindung nach außen, hält ihre Daten nur im Arbeitsspeicher und wird nach der Probe gelöscht; bleibt sie stehen, meldet das die tägliche Prüfung. Bestanden ist die Probe erst, wenn Schema, Zeilenschutz und Rechte der Datenbankrollen stimmen und sich mit der Zweitkopie des Schlüssels der feldweisen Verschlüsselung ein Feld entschlüsseln und ein Konto finden lässt.
• Für einen Wiederanlauf spielt KYTH die Sicherung mit dem Verwaltungskonto der Datenbankinstanz ein und gibt die Tabellen danach der Rolle zurück, der sie gehören. Vor dem Start der Anwendung löscht KYTH von Hand alle Sitzungen und alle offenen Einladungs- und Rücksetzlinks und wiederholt die Löschungen, die KYTH seit dem Zeitpunkt der Sicherung von Hand vorgenommen hat; Sperren von Konten und Mandanten aus dieser Zeit setzt KYTH erneut, soweit KYTH sie kennt. Danach informiert KYTH alle Inhaber mit aktiver Mitgliedschaft über den Zeitpunkt der Sicherung (Nutzungsvertrag, Abschnitt 8).

Datensparsamkeit und Betrieb

• Kein Tracking und keine Inhalte fremder Server: Schriften, Skripte und Stile kommen vom eigenen Server, die Content Security Policy lässt keine fremden Quellen zu. Kladde selbst öffnet außer zur Datenbank, zum Mailserver der Systemmails und zur eigenen Fehlererfassung von KYTH keine Verbindung nach außen; die Namen dieser Server fragt es beim Namensdienst des Servers ab, ohne Daten des Kunden.
• Kein Zugriffsprotokoll, weder in Kladde noch im vorgelagerten Proxy.
• Kladde schreibt in sein Betriebsprotokoll Art und Ort von Fehlern (Art der Ausnahme, Vorlage der Route), Namen von Läufen und Schritten, Kennungen interner Datensätze (etwa einer Mail im Postausgang oder eines Betreiberkontos) und Meldungen der Hintergrundläufe. Die Kennung eines Mandanten schreibt Kladde nicht hinein. Kladdes eigener Code schreibt nie Passwörter, Links, Adressen oder Mailtexte hinein. Hinzu kommen Meldungen verwendeter Bibliotheken ab der Stufe Warnung und vom Anwendungsserver nur Meldungen zu Start, Ende und Arbeitsprozessen sowie ab der Stufe Warnung; den Wortlaut dieser fremden Meldungen legt nicht Kladde fest. Die Datenbank schreibt bei einem Fehler weder den Befehl noch die betroffene Zeile in ihr Protokoll. Ein Lauf auf dem Server löscht stündlich jeden Eintrag beider Protokolle, der älter als 14 Tage ist.
• Unerwartete Fehler meldet Kladde an die eigene Fehlererfassung von KYTH (GlitchTip) auf demselben Server. Eine Meldung enthält Art und Programmstelle des Fehlers ohne den Text der Fehlermeldung und ohne Werte aus dem laufenden Programm, die Vorlage der aufgerufenen Funktion, Zeitpunkt und Fassung von Kladde und von der Anfrage nur Methode, Browserkennung, Inhaltstyp und Länge; Formularinhalte, Parameter der Adresse, Cookies und Angaben zur angemeldeten Person enthält sie nicht. Löschung nach 90 Tagen.
• Mails im Postausgang verschlüsselt; Kladde leert Empfänger und Text spätestens 7 Tage nach dem Anlegen und löscht die übrige Zeile nach 90 Tagen.

Überprüfung

• Automatische Tests, darunter Prüfungen der Mandantentrennung, der Kontotrennung, der Rechte jeder Datenbankrolle und der Sicherheitsköpfe. KYTH lässt sie vor jeder Auslieferung laufen.
• Bei jedem Start prüft Kladde Eigenschaften und Rechte seiner drei Datenbankrollen gegen die Vorgabe und startet bei einer Abweichung nicht.
• KYTH sieht Kladde vor der ersten Auslieferung und bei wesentlichen Änderungen auf Sicherheit durch.
• KYTH überprüft diese Maßnahmen mindestens einmal im Jahr und bei jeder wesentlichen Änderung des Betriebs.

KYTH darf Maßnahmen durch gleichwertige oder bessere ersetzen, trägt die geänderte Beschreibung dieses Abschnitts dann nach Abschnitt 13 des Nutzungsvertrags ohne Vorlage ein und teilt sie den Inhabern von Hand per Mail mit. Eine Änderung, die das Schutzniveau senkt, nimmt KYTH nicht vor.

9. Unterstützung des Kunden

Rechte betroffener Personen. Für Anträge betroffener Personen nach Kapitel III DSGVO (Art. 12 bis 23) gibt Kladde dem Kunden diese Mittel: Inhaber sehen die Mitgliedschaften mit Name, Funktion, E-Mail-Adresse, Rolle und Status, das Protokoll (Abschnitt 4) sowie Firmenprofil und Rechnungsköpfe mit allen Fassungen; sie sperren Mitgliedschaften und legen für Firmenprofil und Rechnungsköpfe neue Fassungen an. Außer Sitzungen kann der Kunde in Kladde nichts löschen, und frühere Fassungen sowie Name, Funktion und Einladungsadresse einer Mitgliedschaft kann er nicht ändern (Abschnitt 11). Was der Kunde mit diesen Mitteln nicht erfüllen kann, erledigt KYTH auf seine Weisung von Hand: KYTH stellt ihm eine Kopie der Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit, binnen fünf Arbeitstagen, berichtigt oder löscht Daten und schränkt ihre Verarbeitung ein. Erreicht ein solcher Antrag KYTH, leitet KYTH ihn unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, außer auf Weisung.

Sicherheit, Folgenabschätzung, Konsultation. KYTH unterstützt den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO mit den Informationen, die KYTH dazu hat.

Für diese Unterstützung berechnet KYTH nichts.

10. Verletzungen des Schutzes personenbezogener Daten

Stellt KYTH eine Verletzung des Schutzes personenbezogener Daten des Kunden fest, meldet KYTH sie dem Kunden unverzüglich in Textform, von Hand per Mail an seine Inhaber (Abschnitt 13), mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; was noch fehlt, reicht KYTH nach. KYTH ergreift die nötigen Maßnahmen, um die Daten zu sichern und Folgen zu mindern, unterstützt den Kunden bei seiner Meldung an die Aufsichtsbehörde und der Benachrichtigung betroffener Personen und dokumentiert die Verletzung. Selbst meldet KYTH für Daten des Kunden nichts an Behörden oder Betroffene, außer auf Weisung.

11. Löschung und Rückgabe

Während des Vertrags löscht Kladde selbsttätig nur: Sitzungen nach ihrem Ablauf oder nach 7 Tagen ohne Nutzung, Einladungslinks 30 Tage nach Ablauf, Einlösung oder Entwertung und im Postausgang Empfänger und Text spätestens 7 Tage, die übrige Zeile 90 Tage nach dem Anlegen. Sofort löscht Kladde Sitzungen bei der Abmeldung, beim Wechsel in einen anderen Mandanten (die bisherige), wenn eine Person ihre Sitzungen beendet oder ihr Passwort ändert (alle übrigen) oder es über einen Link neu setzt (alle), und bei der Sperre einer Mitgliedschaft, eines Kontos oder des Mandanten. Eine Support-Sitzung löscht Kladde außerdem sofort, wenn KYTH die Ansicht ausdrücklich beendet oder eine andere öffnet, wenn sich der Betreiber abmeldet und wenn sein Betreiberkonto gesperrt wird, ein neues Passwort bekommt oder seine zweite Stufe zurückgesetzt wird; nach einem Widerruf der Freigabe löscht Kladde sie bei der nächsten Anfrage aus ihr. Die Fristen für das Protokoll (Abschnitt 4) setzt KYTH von Hand um.

Außer Sitzungen kann der Kunde in Kladde nichts löschen: Firmenprofil und Rechnungsköpfe mit allen Fassungen, Logos, Mitgliedschaften, Support-Freigaben und das Protokoll bleiben gespeichert; Rechnungsköpfe lassen sich archivieren und wiederherstellen. Name, Funktion und Einladungsadresse einer Mitgliedschaft lassen sich nicht ändern. Steht das einem Antrag nach Art. 16 oder 17 DSGVO entgegen, berichtigt oder löscht KYTH die Daten auf Weisung des Kunden von Hand (Abschnitt 9).

Nach dem Ende der Kündigungsfrist stellt KYTH dem Kunden im Übergangszeitraum und im Abrufzeitraum nach Abschnitt 10 des Nutzungsvertrags auf Anfrage von Hand eine Kopie seiner Daten bereit, binnen fünf Arbeitstagen. Nach Ablauf des Abrufzeitraums löscht KYTH die Daten des Mandanten von Hand, binnen 30 Tagen, einschließlich der Arbeitskopien auf dem Server und der Kopien, die bei KYTH für die Übergabe entstanden sind (Abschnitt 8); verlangt der Kunde in Textform eine frühere Löschung, löscht KYTH früher. Mit der Löschung geht der Grundeintrag des Mandanten (Name, Kennung, Status, Fassung der Zustimmung und Zeitpunkte) in die Verantwortung von KYTH über, weil der Zustimmungsnachweis auf ihn verweist; KYTH bewahrt ihn nur zusammen mit dem Nachweis auf und löscht ihn mit ihm (Nutzungsvertrag, Abschnitt 5). In den Sicherungen bleiben die Daten bis zum Ablauf ihrer Frist von 95 Tagen; bis dahin verwendet KYTH sie nur zur Wiederherstellung nach einer Störung und zur Probe der Wiederherstellung nach Abschnitt 8. Muss KYTH Kladde in dieser Zeit aus einer Sicherung wiederherstellen, löscht KYTH die Daten danach erneut von Hand. Eine Pflicht von KYTH, Daten des Kunden länger aufzubewahren (Art. 28 Abs. 3 lit. g DSGVO), besteht nicht. Auf Anfrage bestätigt KYTH die Löschung in Textform.

12. Nachweise und Kontrollen

KYTH stellt dem Kunden auf Anfrage alle Informationen bereit, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde oder ein von ihm beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit KYTH steht, kann die Einhaltung überprüfen, auch vor Ort (Art. 28 Abs. 3 lit. h DSGVO). Eine Prüfung vor Ort kündigt der Kunde mindestens 14 Tage vorher in Textform an; sie findet zu üblichen Geschäftszeiten statt, ohne den Betrieb mehr als nötig zu stören und ohne Einblick in Daten anderer Kunden. Rechenzentren der weiteren Auftragsverarbeiter prüft der Kunde über deren Nachweise, die KYTH ihm auf Anfrage vorlegt. Prüfungen der Aufsichtsbehörde duldet KYTH.

13. Pflichten des Kunden

• Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Daten seiner Benutzer und der Personen, deren Angaben er in Kladde erfasst, dort verarbeiten darf, und für deren Information nach Art. 13 und 14 DSGVO. Die Einladungsmail, die Kladde anlegt, enthält die Adresse der Datenschutzerklärung von KYTH (Abschnitt 2, dort auch zum Versand); die Information über seine eigene Verarbeitung gibt der Kunde selbst.
• Er vergibt Rollen und Zugänge mit Bedacht und sperrt Mitgliedschaften von Personen, die nicht mehr für ihn arbeiten. Kladde legt die Hinweise nach Abschnitt 2 für jede Mitgliedschaft mit der Rolle Inhaber an, deren Einladung angenommen ist, auch wenn sie gesperrt ist. Soll das für eine gesperrte Mitgliedschaft enden, weist der Kunde KYTH an, ihre Rolle von Hand zu ändern (Abschnitte 6 und 9).
• Er hält mindestens einen Inhaber mit gültiger E-Mail-Adresse bereit. Weil sich Name, Funktion und Adresse an einer Mitgliedschaft in Kladde nicht ändern lassen, lädt er einen Inhaber, dessen Adresse sich ändert, mit der neuen Adresse neu ein und sperrt die alte Mitgliedschaft; ändern sich nur Name oder Funktion, berichtigt KYTH sie auf Weisung von Hand (Abschnitt 9). Meldungen nach diesem Vertrag und Mitteilungen nach dem Nutzungsvertrag an den Kunden richtet KYTH von Hand an die Einladungsadressen der Inhaber mit aktiver Mitgliedschaft, soweit der Nutzungsvertrag nichts anderes bestimmt.
• Er teilt KYTH unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

14. Haftung und Schlussbestimmungen

Für die Haftung gilt Abschnitt 12 des Nutzungsvertrags; die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt unberührt. Bei Widersprüchen geht dieser Vertrag dem Nutzungsvertrag vor, soweit es um die Verarbeitung im Auftrag geht. Änderungen, Laufzeit, anwendbares Recht und Gerichtsstand richten sich nach dem Nutzungsvertrag. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.